Klaudia Zotzmann-Koch

Autorin | Podcasterin | Datenschutzexpertin

Happy Towel Day

by 1 Comment

Heute ist Towel Day, der Handtuch-Tag. Seit 2001 gibt es jedes Jahr am 25 Mai diesen Gedenktag für den britischen Autor Douglas Adams, der 2001 leider viel zu früh gestorben ist.

Seine SciFi-Satire-Reihe „Per Anhalter durch die Galaxis“ hat auch mich in meiner Jugend begleitet – damals noch in der deutschen Übersetzung. Und so wie alle anderen lachte ich herzlich über den Teil, wo ein Supercomputer nach Jahrtausenden des Rechnens endlich die Antwort auf die Frage nach dem Leben, dem Universum und dem ganzen Rest ausspuckte: „42“. Und ich lachte darüber, dass die Menschen dann, weil sie die Antwort nicht verstanden und die ursprüngliche Frage leider verloren gegangen war, einen noch viel größeren Computer bauten, um die Frage zu der Antwort zu errechnen, anstatt zu hinterfragen, mit welchen Trainingsdaten der Computer vorab gefüttert worden war, dass er nur eine Zahl als Antwort formulieren konnte. Welches Teil-Abbild einer konstruierten und einseitigen Realität hatte das Gerät denn vorab bekommen? Und kannte es überhaupt Wörter oder war der Erbauer etwa jemand, der Mathematik als universelle Sprache verstand und darauf vertraute, dass der Rest der Menschheit eine Verständigung in Formeln und Zahlen genauso leicht verstehen würde?

Heute bleibt mir das Lachen an der Stelle im Hals stecken. Es tut weh, die Wahrheit über uns Menschen und unseren Umgang mit Technik mit soviel Salz in die offene Wunde gerieben zu bekommen. Wir sind leider keinen Deut besser und tun eben genau das: immer größere Computer bauen, die alle unsere Probleme lösen sollen, statt uns mit den eigentlichen Problemen als Gesamtgesellschaft zu befassen und sie allgemeinverständlich zu formulieren. Corona-Tote sind auch nur Zahlen und gehen völlig an uns vorbei. Die Hochrechnungen der Klimakrise könnten wir ebenso in Zahlen hinschreiben, solange wir unwillig sind, die Konsequenzen für unser eigenes Handeln (und das der Generationen der letzten 200 Jahre) zu tragen. Wir sind abgestumpft und betrachten das Wetter üblicherweise ausschließlich im Rahmen unserer Freizeitgestaltung. Sonnenschein ist aber nicht nur „Schönwetter“ zum Badengehen der Eisessen, sondern die Fratze der Dürre. Aber dafür werden wir sicher auch noch einen Großrechner bauen können, der uns die Natur da draußen auch wieder gefügig macht. 42.

sharing is caring

Coming soon: Easy Ways to Be More Private on the Internet – HANDS ON!

by Leave a Comment

Als nächstes gibt es bald eine Workbook-Edition des . Das gesamte Buch, allerdings erweitert um über 20 Arbeitsblätter und Checklisten, die die Umsetzung noch einfacher zu machen.

Der geplante Start ist der 1. Juni. Mein erstes Arbeitsbuch! Wenn das gut funktioniert, mach ich das für die deutschsprachige Ausgabe auch nochmal. 😉

-> zur Buch-Detailseite

sharing is caring

„Easy Ways to Be More Private on the Internet“ ist jetzt auch in Deutschland und Österreich bestellbar!

by Leave a Comment

Es war knifflig und nach nur 6 Stunden am Telefon, inkl. der Rechtsabteilung des Börsenvereins des Deutschen Buchhandels, der ISBN-Stelle des Hauptverbands des Österreichischen Buchhandels und dem Amazon KDP Support (ja, die telefonieren auch, wie ich unlängst herausfand), gibt es nun endlich (hoffentlich!) eine Lösung für das Problem, dass das englischsprachige Buch überall in der Welt bestellbar war, bloß in Deutschland und Österreich nicht.

Das Buch ist gestern bei Tredition ins Programm gegangen und sollte auch im VLB in Kürze gelistet sein. Dann können auch kleine Buchhandlungen in Deutschland und Österreich das Buch für ihre Kund:innen bestellen. Hurra!!! Und jetzt hoffe ich mal, dass es wirklich zu keinen Konflikten bei Onlineshops kommt und das Buch überall gelistet bleibt. Wirklich sehr aufregend.

-> Direktlink zu Tredition
-> zur Buch-Detailseite mit Leseprobe und weiteren Shop-Links

sharing is caring

Murderboard Chapter 04 (EN): Trojan Horses or: State Hacking

by 1 Comment

Feeding Pigeons in the Park: Espionage

Knowledge is power. Knowing nothing makes one envious when looking at the model of modern information societies. The natural application of networks that transport information is espionage. So the Internet early made acquaintance with it. The aspect of smuggling messages in and out of an area is obvious. It also involves breaking through security measures to gain access to protected information. 

Whereby large parts of our own information are much less protected than we would like or even be aware of. The e-mails mentioned above are always in plain text and therefore are visible to everyone. An unknown number of third parties read them on the way from sender to recipient and assess this information. And all the information we have in accounts on US platforms (photos, more or less public postings, direct messages, etc.) is viewable by authorities in the US and anyone who cooperates with the US. It would not be the first time that people may not enter a country because of a social media posting or a direct message on a platform.

Chain of Command

Martin B. from A. earns his money as a contractor. He has a small company under which he offers good old IT services: Setting up printers, maintaining the networks of small businesses, occasionally building a website for individual entrepreneurs. That doesn’t make a lot of money, but it provides a valid umbrella for his actual business. Martin B. takes care of a couple of command & control servers that are used by several large campaigns on the net to control and manage malware. He doesn’t know the names of his clients. The last three had given long strings of letters and numbers as their nicknames. He gets his money from changing number accounts in different crypto currencies. Most of the time, these accounts exist for only a few days. He has given up trying to track them. He doesn’t even want to know. Martin B. keeps using different nicknames and different number accounts himself at irregular intervals. One for each incoming payment. He rarely uses a nickname or number account twice. At the moment he is on the road as „ldra002“. And his mission is to spin up a new command & control server for a malware called Ryuk. The specifications given to him are impressively large, and the job gives good money. Presumably his clients have something bigger in mind with it. Martin B. doesn’t ask. Asking is bad for the business. Instead, he randomly pulls out one of the recently purchased credit cards from the digital file box and rents a virtual server for 21 days from a major provider. He smiles when he reads the name: Leon Dragic. How funny and very fitting for his current pseudonym. Already the day after tomorrow he will use another one—far earlier than Leon would get the bill.

Explosive Apps—Sabotage

With sufficient digitization, we can leave both the production of goods and the destruction of production facilities to the machines. Where once you had to laboriously smuggle explosives and have them planted by agents, today you can have that done by software. Industrial facilities such as power supplies, energy transport by pipelines, chemical or nuclear processing, manufacturing or related constructs are vulnerable to failure. It is also possible to interfere with measurement and control processes to force deliberate decisions out of machines based on false values. This type of digital sabotage rarely manifests in spectacular explosions. More like a production coming to a standstill or exhibiting a serial defect. The best sabotage goes unnoticed for a long time.

For the execution of such perfidious attacks, one can assign one’s own people or hire silent service providers for a lot of tax money.

One topic we should address at this point is the so-called „state Trojan“—a piece of software that carries many problems. Starting with the fact that we now live in a society in which those in power have a fundamental distrust in all citizens and we are all under a general suspicion of planning the next terrorist attack. Followed by a spyware to be foisted on all of our most personal devices. We mean our smartphones.

That this software exists at all, brings all kinds of problems. For example, finding a way for malware to get access to the right data in the first place. With unsecured or minimally secured devices like IoT devices, this is easy. But our cell phones, which are targeted by governments because they are our personal communication hub, are quite a different level, because they are usually well secured. To get “root privileges” (super admin, quasi “god mode”) there, you have to find a really fat (and therefore expensive) security hole. And those exist. It has a reason that the manufacturers of our devices release security updates now and then to close freshly found security holes and to keep the operating systems and apps secure as well as they can. However, there is a large black market, where security holes are sold to the highest bidders. If you have read this far, you won’t be surprised. Criminals always find ways to compromise devices. Unlike security researchers, who basically do the same thing but report their findings to manufacturers and help them close the loopholes and make the world a little safer for everyone, the criminals make money out of it. And cui bono? Who is buying into these gaps? Other criminals and governments, who use them to build state Trojans against their own citizens. A highly problematic black market is not only kept alive, they actually fuel it with our tax money.

In application, such spy programs are then also problematic. On the one hand, legally, because a malware for communication monitoring needs really deep rights on a cell phone. For example, if it is to read communication data in secure messengers, it must be able to read the content on the sender’s device before encrypting it. A secure messenger sends the data „end-to-end encrypted“, i.e. the content of the message can only be read at both ends by the sender and the recipient. On the way in between, you can see that a message exists, but the content is not readable from the outside, only „character salad“. Malware that is supposed to be able to read message content before it is encrypted and forward it to the outside world needs super admin rights on the cell phone. And with that, it can read everything that happens on the device, including the phonebook, photos, content in other apps, listen in on phone calls, and whatever else the device can do. That’s much, much more than the authorities are actually allowed to do, but it’s technically impossible for the software to do less than that.

And last, but not least, the problem where application and purchase of vulnerabilities coincide: The provability. Who says that criminals have sold this one vulnerability (or even the many) only to this one government? It is possible for anyone with enough money to buy anything on a black market. And private individuals or highly professional criminals like the ones we described above can afford three-, four- or even five-figure sums. Now, if anyone can create malware, it will be hard to argue that certain evidence is really from a particular person. We remember admin rights: anyone can forge photos, GPS histories, and more through malware and associated access rights to mobile devices. Suddenly evidence is no longer evidence. The question is, who wants to tell which story? What was done with this device, where was it present, what is it supposed to have seen or heard?

And because we have already spent so much tax money on such software, we have to use it, otherwise it would all have been for nothing. Surprisingly enough, 80 million Germans and 8 million Austrians are not planning terrorist attacks on a daily basis. They also don’t organize in child molester rings. Most of them don’t even know where to look on the net for instructions on how to build highly explosive things or for photographs that are rightly forbidden. And they have never heard of the Tor browser for accessing the so-called Darknet. Actually, most of them are also happy not to have anything to do with all this stuff and just live their normal lives. So what to do with this nuclear first-strike weapon? They find a few sparrows in extortion and drug and property crimes (https://netzpolitik.org/2021/justizstatistik-2019-polizei-nutzt-staatstrojaner-vor-allem-bei-erpressung-und-drogen/). And other European countries don’t think their own populations are so dandy either when they advocate independence from the central state (https://www.golem.de/news/nso-group-spanien-setzt-offenbar-staatstrojaner-gegen-katalanen-ein-2007-149659.html).

In the end, what remains is that governments keep mobile devices insecure for everyone for a state-planned purpose against a few criminals. Worldwide. For tax money. And that opens the door for criminals to do whatever they please with all our devices.

The Fifth Dimension—War and Propaganda

First, we waged war on the land. Then came the water. The air is still young as a theater of war. Space is even younger. In the last few decades, the Internet has joined the ranks. The military calls the world of digital warfare, or „cyber warfare,“ the fifth dimension. We fight it with software that either defends against attacks or carries them out. One combines elements of information security (or insecurity) with the dictates of military missions. Including espionage and sabotage.

We often forget information sovereignty in this topic. The manipulation of information is just as much a part of the whole. Influencing news, political decisions, elections or public opinions can have serious consequences. Language becomes a weapon in this process, and the Internet is the delivery system. What is fatal about this kind of manipulation is that even a temporary presentation of messages can have an effect. 

State Hacking in Investigations

Where there’s investigation, digital chips sometimes fall. This also applies to the digital part of investigations. Unfortunately, that’s where forensics meets information security. The basic task of information security is to prevent attacks, the tapping of data and the compromising of systems. Organized crime or the attacks of nations, however, do not abide by laws. Often discussed in this context is therefore the so-called „hack back“ or „hacking back“ in attacks. This involves actively counterattacking the real or alleged perpetrators of an attack. The controversy here is whether one actually catches the right people or only passers-by or unsuspecting deputies who are involved in the attack. Another issue is the loss of trustworthiness of online platforms and digital infrastructure when backdoors are introduced to access data and digital activities. The major argument for backdoors is the protection of data through encryption. However, seatbelts with predetermined breaking points are no longer. Said backdoors can be used by investigators and criminals alike. We will all be the losers.

Implications and Consequences for Information Security

Information security is to protect digital data and infrastructures. The tools required for this are barriers that protect the digital assets from unauthorized access. These include secure encryption, protection of transport and storage location, and restricted access to data and systems. The quality of protection depends on the means available. Third party access to IT systems or data can only be achieved with a backdoor or designated access permissions. If one would like to protect oneself from access by third parties, only weak points or duplicate keys remain for investigators and attackers. This then makes it impossible to implement information security. The technology does not value access ethically. Access by third parties remains an intrusion or attack. The context decides. IT specialists can hardly determine the context when there are signs of access before data is copied. In purely technical terms, there is also no such thing as good or evil access. Access to data remains value-neutral. Any weakening of security measures weakens the capabilities of the defenders.

The Click of the Handcuffs

Catherine is in a jubilant mood. She and her colleagues have just landed an enormous fish. One of the persons behind a large-scale malware campaign against the Ministry of the Interior is sitting next door in the interrogation room. To their own amazement, he has confessed. What is particularly interesting is who else he had to deal with and who was involved in the affair? 

Catherine meticulously goes through her notes again. One name keeps popping up here, too. At the same time in the same place … Leon Dragic. The GPS data on his phone speaks volumes. Four out of seven times he was in the same café and once at a demonstration. She is sure by now that Leon is one of those guys who are too sure of themselves. She found him in photos from two demonstrations. Rips on it quite the mouth. 

Catherine sends the warrant to the colleagues who will bring Leon in. 

We hope, we could show you, that one aspect is central for internet crime: trust. Trust is a good and long-learned thing between humans since the mammoths. But with all the technology in between us, trust nowadays—sadly—is usually in the wrong places.

The End. (For now.)

Links

DeepSec Blog
Easy Ways to Be More Private on the Internet – Klaudia’s book on digital self-defense for beginners
Murderboard-Talk by René and Klaudia at

The Other Parts of the Series

00 – Prequel
01 – Chapter 01: Traces
02 – Chapter 02: Investigations
03 – Chapter 03: Serial Hackers
04 – Chapter 04: State Hacking

sharing is caring

Murderboard Kapitel 04: Trojanischer Amtsschimmel oder auch: Staatliches Hacken

by Leave a Comment

Taubenfüttern im Park – Spionage

Wissen ist Macht. Nichts wissen macht neidisch wenn man das Modell moderner Informationsgesellschaften ansieht. Die natürliche Anwendung von Netzwerken die Informationen transportieren ist Spionage. Das Internet hat daher schon früh Bekanntschaft damit gemacht. Der Aspekt Nachrichten in einen Bereich hinein und hinaus zu schleusen ist offensichtlich. Damit verbunden ist auch das Durchbrechen von Sicherheitsmaßnahmen um Zugang zu geschützten Informationen zu kommen.
Wobei weite Teile unserer eigenen Informationen viel weniger geschützt sind als es uns lieb oder auch nur bewusst wäre. Die vorher genannten E-Mails werden grundsätzlich im Klartext und für alle einsehbar verschickt. Eine unbekannte Anzahl Dritter liest sie auf dem Weg von Absender:in zu Empfänger:innen mit und wertet diese Informationen aus. Und alle Informationen die wir in Accounts auf US-amerikanischen Plattformen haben (Fotos, mehr oder weniger öffentliche Postings, Direktnachrichten etc.) sind für Behörden in den USA und allen die mit den USA kooperieren einsehbar. Es wäre nicht das erste Mal dass Menschen wegen eines Social Media Postings oder eine Direktnachricht auf einer Plattform nicht in ein Land einreisen dürfen.

Befehlskette

Martin B. aus A. verdient sein Geld als Auftragnehmer. Er hat eine kleine Firma unter der er gute alte EDV-Dienstleistungen anbietet: Drucker einrichten die Netzwerke kleiner Unternehmen warten ab und an mal eine Webseite für Einzelunterehmer:innen bauen. Das macht den Kohl nicht fett aber es bietet einen validen Überbau für sein eigentliches Geschäft. Martin B. kümmert sich um ein paar Command- & Control-Server die von mehreren großen Kampagnen im Netz verwendet werden um Schadsoftware zu kontrollieren und zu steuern. Er weiß nicht wie seine Auftraggeber heißen. Die letzten drei hatten lange Zeichenketten als Nickname angegeben. Sein Geld bekommt er von wechselnden Nummernkonten in unterschiedlichen Cryptowährungen. Meist existieren diese Konten nur wenige Tage. Er hat es aufgegeben ihnen nachzugehen. Er will es auch gar nicht wissen. Martin B. verwendet in unregelmäßigen Abständen selbst immer wieder andere Nicknames und andere Nummernkonten. Eins für jeden Zahlungseingang. Nur sehr selten verwendet er Nickname und Nummernkonto zweimal. Momentan ist er als »ldra002« unterwegs. Und sein Auftrag ist einen neuen Command- & Control-Server für eine Schadsoftware namens Ryuk hochzufahren. Die ihm genannten Spezifikationen sind beeindruckend groß und gibt gutes Geld. Vermutlich haben seine Auftraggeber damit etwas Größeres vor. Martin B. fragt nicht nach. Nachfragen ist schlecht fürs Geschäft. Stattdessen zieht er zufällig eine der unlängst frisch eingekauften Kreditkarten aus dem digitalen Dateikasten und mietet einen virtuellen Server für 21 Tage bei einem großen Anbieter. Er schmunzelt als er den Namen liest: Leon Dragic. Wie lustig und sehr passend zu seinem aktuellen Pseudonym. Schon übermorgen wird er ein anderes verwenden – weit bevor dieser Leon die Rechnung bekommt.

Explosive Apps – Sabotage

Bei ausreichender Digitalisierung kann man sowohl die Produktion von Waren als auch die Zerstörung von Produktionsstätten den Maschinen überlassen. Wo man früher noch mühsam Sprengstoff schmuggeln und durch Agenten anbringen lassen musste so kann man das heute durch Software erledigen lassen. Industrieanlagen wie Stromversorgung Energietransport in Form von Pipelines chemische oder nukleare Verarbeitungsprozesse Fertigungen oder verwandte Konstrukte reagieren durchaus anfällig auf Ausfälle. Man kann auch in Mess- und Steuerungsabläufe eingreifen um Maschinen gewollte Entscheidungen auf Basis falscher Werte abzuringen. Diese Art der digitalen Sabotage äußert sich selten durch spektakuläre Explosionen. Es reicht völlig wenn eine Produktion zum Erliegen kommt oder Serienfehler aufweist. Die beste Sabotage wird lange nicht bemerkt.
Für die Ausführung solch perfider Angriffe kann man eigene Leute beauftragen oder für viel Steuergelder schweigsame Dienstleister:innen engagieren.

Ein Themenbereich der an dieser Stelle vielleicht angeschnitten werden sollte ist der sogenannte »Staatstrojaner«: ein Stück Software das viele Probleme mit sich bringt. Angefangen damit dass wir mittlerweile in einer Gesellschaft leben in der die Regierenden allen Bürger:innen ein grundsätzliches Misstrauen entgegenbringen und wir alle unter Generalverdacht stehen den nächsten Terroranschlag zu planen. Daher gibt es eine Spionagesoftware die allen Bürger:innen untergeschoben werden können soll.
Schon allein der Weg dahin dass diese Software überhaupt existiert ist gepflastert mit allerlei Problemen. Beispielsweise dass man für eine Schadsoftware eine Möglichkeit finden muss dass diese überhaupt Zugriff auf passende Daten bekommt. Im Fall von ungesicherten oder nur minimal gesicherten Geräten wie IoT-Geräten ist dies einfach. Aber unsere Mobiltelefone auf die Regierungen abzielen weil sie unsere persönliche Kommunikationszentrale darstellen sind schon eine ganz andere Nummer und normalerweise recht gut abgesichert. Um dort »Root-Rechte« (Super-Admin, quasi »Gott«) zu erhalten muss man schon eine richtig dicke (und damit teure) Sicherheitslücke finden. Und die gibt es sogar. Nicht umsonst bringen die Hersteller unserer Geräte alle Nase lang Sicherheitsupdates heraus um immer wieder frisch gefundene Lücken zu schließen und die Betriebssysteme und Apps sicher zu halten. So gut es eben geht. Es gibt allerdings auch hier einen großen Schwarzmarkt auf dem gefundene Sicherheitslücken meistbietend verkauft werden. Wenn Ihr bis hierher mitgelesen habt wird Euch das nicht weiter verwundern. Kriminelle finden immer wieder Wege um Geräte zu kompromittieren. Im Gegensatz zu Sicherheitsforschern die im Grunde dasselbe tun ihre Erkenntnisse allerdings den Herstellern melden und ihnen helfen die Lücken zu schließen und die Welt für alle Menschen ein bisschen sicherer zu machen schlagen die Kriminellen daraus Geld. Und: cui bono? Wer kauft diese Lücken ein? Andere Kriminelle und Regierungen die damit Staatstrojaner gegen ihre eigenen Bürger:innen bauen. Für viel Steuergeld wird ein hochproblematischer Schwarzmarkt nicht nur am Leben erhalten sondern regelrecht befeuert.
Auch in der Anwendung sind solche Spionageprogramme problematisch. Zum einen rechtlich da eine Schadsoftware zur Kommunikationsüberwachung sehr tiefe Rechte auf einem Mobiltelefon braucht. Wenn sie z.B. Kommunikationsdaten in sicheren Messengern mitlesen können soll muss sie die Inhalte vor dem Verschlüsseln auf dem Gerät der Absender:in mitlesen können. Ein sicherer Messenger sendet die Daten »Ende-zu-Ende-verschlüsselt« also ist der Inhalt der Nachricht ausschließlich an den beiden Enden bei Absender:in und Empfänger:in lesbar. Auf dem Weg dazwischen sieht man zwar dass eine Nachricht existiert der Inhalt ist allerdings von außen nicht lesbar sondern nur »Zeichensalat«. Eine Schadsoftware die nun Nachrichteninhalte vor dem Verschlüsseln mitlesen und nach außen weiterleiten können soll braucht Super-Admin-Rechte auf dem Mobiltelefon. Und damit kann sie alles lesen was auf dem Gerät passiert inklusive Telefonbuch Fotos Inhalte anderer Apps Telefongespräche mithören und was das Gerät eben alles kann. Das ist viel viel mehr als Behörden eigentlich dürften aber weniger geht technisch gar nicht damit die Schadsoftware ihren Dienst tut.
Und last not least das Problem wo Anwendung und Einkauf der Sicherheitslücken zusammenfallen: Die Beweisbarkeit. Wer sagt dass Kriminelle diese eine Sicherheitslücke (oder auch die vielen) nur an diese eine Regierung verkauft haben? Es kann jede:r auf einem Schwarzmarkt alles kaufen wenn das nötige Kleingeld da ist. Und drei- vier- oder auch fünfstellige Summen können sich auch Privatpersonen oder hoch professionell aufgestellte Kriminelle wie wir sie oben schon geschildert haben durchaus leisten. Wenn nun jede:r eine entsprechende Schadsoftware erstellen kann wird es schwer zu argumentieren dass bestimmte Beweise wirklich von einer bestimmten Person sind. Wir erinnern uns an die Admin-Rechte: Jede:r kann durch entsprechende Schadsoftware und damit verbundene Zugriffsrechte auf Mobilgeräte Fotos GPS-Verläufe und mehr fälschen und so sind Beweise plötzlich keine Beweise mehr. Sondern höchstens die Frage wer welche Geschichte erzählen will was mit diesem Gerät alles gemacht wurde wo es dabei war was es gesehen oder gehört haben soll.
Aber weil wir jetzt schon soviel Steuergeld für solche Software ausgegeben haben müssen wir sie auch einsetzen sonst wäre ja alles umsonst gewesen. Was man hat muss man auch nutzen. Erstaunlicherweise planen aber 80 Millionen Deutsche und auch 8 Millionen Österreicher:innen gar keine Terroranschläge. Sie sind auch nicht in Kinderschänderringen organisiert. Die meisten wissen nicht einmal wo sie im Netz nach Bauanleitungen für hochexplosive Dinge oder zu Recht verbotenen Fotografien suchen sollten und haben auch noch nie vom Tor-Browser für einen Zugang zum sogenannten Darknet gehört. Um genau zu sein sind die meisten auch froh mit dem ganzen Zeug nichts zu tun zu haben und leben einfach ihr normales Leben. Was also tun mit dieser atomaren Erstschlagswaffe? Ein paar Spatzen finden sich zumindest bei Erpressung Drogen- und Eigentumsdelikten. Und andere europäische Länder finden ihre eigene Bevölkerung auch nicht so knorke wenn diese sich für Unabhängigkeit vom Zentralstaat ausspricht.
Am Ende bleibt dabei über dass für einen staatlich geplanten Einsatzzweck gegen einige wenige Kriminelle die Mobilgeräte für alle Menschen unsicher gehalten werden. Weltweit. Für Steuergeld. Und damit Tür und Tor offenstehen durch die Kriminelle mit allen Geräten anstellen können was ihnen beliebt.

Die fünfte Dimension – Krieg und Propaganda

Zuerst führte man Krieg auf dem Land. Dann kam das Wasser dazu. Die Luft ist als Kriegsschauplatz noch jung. Noch jünger ist der Weltraum. In diesen Reigen gesellt sich seit wenigen Jahrzehnten das Internet. Die Welt des digitalen Krieges oder auch »Cyber Warfare« genannt nennen die Militärs die fünfte Dimension. Gekämpft wird mit Software die entweder Angriffe abwehrt oder auch durchführt. Man verbindet Elemente der Informationssicherheit (oder -unsicherheit) mit den Vorgaben militärischer Missionen. Spionage und Sabotage ist dabei inbegriffen.

Die Informationshoheit wird bei diesem Thema oft vergessen. Die Manipulation von Informationen ist ebenso ein Teil des Ganzen. Eine Beeinflussung von Nachrichten politischen Entscheidungen Wahlen oder Meinungen in der Öffentlichkeit kann gravierende Folgen haben. Die Sprache wird dabei zur Waffe und das Internet ist das Trägersystem. Fatal an dieser Art der Manipulation ist dass selbst eine temporäre Darstellung von Botschaften schon eine Wirkung haben kann.

Staatliches Hacken bei Ermittlungen

Wo ermittelt wird da fallen manchmal digitale Späne. Das trifft auch auf den digitalen Teil der Nachforschungen zu. Leider trifft dort die Forensik auf die Informationssicherheit. Grundaufgabe der Informationssicherheit ist das Verhindern von Angriffen dem Abgreifen von Daten und der Kompromittierung von Systemen. Organisiertes Verbrechen oder die Angriffe von Nationen halten sich aber nicht an Gesetze. Oft diskutiert wird daher in diesem Zusammenhang das sogenannte »hack back« oder »Zurückhacken« bei Angriffen. Dabei wird aktiv auf einen Angriff ein Gegenangriff auf die echten oder vermeintlichen Täter:innen ausgeführt. Die Kontroverse dabei ist ob man tatsächlich die Richtigen erwischt oder nur Passanten bzw. ahnungslose Stellvertreter:innen die zufällig an der Attacke beteiligt sind. Ein weiterer Punkt ist der Verlust der Vertrauenswürdigkeit von Online-Plattformen und digitaler Infrastruktur wenn Hintertüren zum Zugriff auf Daten und digitalen Aktivitäten eingeführt werden. Hauptargument für die Hintertüren ist der Schutz von Daten durch Verschlüsselung. Sicherheitsgurte mit Sollbruchstellen sind aber keine mehr. Besagte Hintertüren können von Ermittler:innen und Verbrecher:innen gleich benutzt werden. Verlierer:innen sind wir dabei alle.

Implikationen und Konsequenzen für die Informationssicherheit

Aufgabe der Informationssicherheit ist der Schutz digitaler Daten und Infrastrukturen. Die dazu notwendigen Hilfsmittel sind Barrieren die die digitalen Güter vor unbefugtem Zugriff schützen. Darunter fällt die sichere Verschlüsselung der Schutz des Transports und des Aufbewahrungsorts sowie beschränkter Zugriff auf Daten und Systeme. Die Qualität des Schutzes hängt von den zur Verfügung stehenden Mitteln ab. Zugriff auf IT Systeme oder Daten durch Dritte kann nur mit einer Hintertür oder den dafür vorgesehenen Zugangsberechtigungen. Möchte man sich vor Zugriff durch Dritte schützen so bleiben für Ermittler:innen und Angreifer:innen nur Schwachstellen oder Nachschlüssel. Damit ist dann die Umsetzung von Informationssicherheit nicht mehr möglich. Die Technologie wertet die Zugriffe nicht ethisch. Ein Zugriff durch Dritte bleib ein Ein- oder Angriff. Der Kontext entscheidet. IT Spezialist:innen können bei Anzeichen von Zugriffen kaum den Kontext feststellen bevor Daten kopiert werden. Rein technisch gibt es auch keinen guten oder bösen Zugriff. Der Zugriff auf Daten bleibt wertneutral. Jegliche Schwächung der Sicherheitsmaßnahmen schwächen die Fähigkeiten der Verteidiger:innen.

Das Klicken der Handschellen

Katharina Müller ist in Jubelstimmung. Sie und ihre Kolleg:innen haben gerade einen ganz großen Fisch an Land gezogen. Einer der Hintermänner einer groß angelegten Schadsoftware-Kampagne gegen das Innenministerium sitzt nebenan im Verhörzimmer. Zu ihrer eigenen Verblüffung ist er geständig. Besonders interessant ist mit wem er es sonst noch so zu tun hatte und wer mit in der Sache drinsteckt.
Katharina geht ihre Notizen noch einmal akribisch durch. Ein Name taucht auch hier immer wieder auf. Zur selben Zeit am selben Ort … Leon Dragic. Die GPS-Daten seines Telefons sprechen Bände. Vier von sieben Malen war er im selben Café einmal auf einer Demo vor der Tür. Sie ist sich mittlerweile sicher dass Leon einer dieser Typen ist die sich ihrer selbst zu sicher sind. Sie hat ihn auf Fotos von zwei Demonstrationen gefunden. Reißt darauf ganz schön das Maul auf.

Katharina schickt den Haftbefehl an die Kolleg:innen die Leon herbringen werden.

Wir hoffen wir konnten deutlich machen dass es einen ganz zentralen Aspekt bei Onlineverbrechen gibt: Vertrauen. Vertrauen ist ein seit Langem gelerntes Verhalten gegenüber anderen Menschen – seit den Mammuts. Mit all der Technologie die heute um uns und zwischen uns ist liegt das Vertrauen – leider – viel zu oft an der falschen Stelle.

Ende. (Vorerst.)

Links

DeepSec Blog
Dann haben die halt meine Daten. Na und?! – Einsteiger:innen-Buch in digitale Selbstverteidigung von Klaudia
Murderboard-Talk von René und Klaudia bei der

Weitere Teile der Serie:

00 – Prequel
01 – Kapitel 01: Spuren
02 – Kapitel 02: Ermittlungen
03 – Kapitel 03: Serienhacker
04 – Kapitel 04: Staatliches Hacken

sharing is caring

Murderboard Kapitel 03: Serienhacker: Organisiertes Verbrechen oder auch »Grand Theft Data«

by Leave a Comment

Motivationen der »Cosa Data«

Erhebt man Daten zu einem wertvollen Gut wird es automatisch gehandelt gehortet gestohlen und gefälscht. Digitale Abläufe lassen sich sowohl legal als auch illegal nutzen genau wie die Wirtschaft in der analogen Welt. Es geht allerdings beim Thema Cybercrime um viel mehr als nur die Daten selbst. Konten mit bestimmten Berechtigungen stellen auch einen Wert dar weil sie als Multiplikator fungieren. Ein Beispiel ist ein einfaches E-Mail Konto mit hinterlegten Kontakten (Adressbuch oder auch die Kontaktdaten in den vorhandenen E-Mails). Damit kommen gleich mehrere Eigenschaften zusammen: Identität Vertrauen und ein Archiv von Nachrichten. Das Archiv kann man direkt nach wertvollen Daten durchsuchen. Die Identität kann man mit Hilfe des Vertrauens der Kontakte für Betrug verwenden um weitere Zugänge zu mehr Konten und Daten zu bekommen.

Die Motivation ist unterm Strich immer etwas wie ein Vorteil oder Gewinn. Daten die sich direkt verkaufen lassen haben einen unmittelbaren Nutzen.

Öfter werden Daten in mehreren Schritten besorgt.

Methoden: Organisiert und ordentlich

Die Organisation bei digitalem Verbrechen folgt analogen Vorbildern. Es gibt Dienstleister für alle Rollen und Stationen die notwendig sind. Man findet alles was man auch in einem gut aufgestellten Unternehmen finden würde. Es gibt Techniker:innen Marketing einen Helpdesk für die Opfer (im Falle von Erpressungssoftware – ja, tatsächlich!) Notare Händler Sicherheitsexpert:innen Bankenwesen und was man sonst noch in der Wirtschaft benötigt. Diese Struktur impliziert die Vorgehensweise und die Vorbereitung von Operationen. So etwas wie dramaturgisch aufbereitete Szenen wo binnen weniger Minuten hektischer Tastaturanschläge ganze IT Anlagen durchlöchert werden gibt es nur im Fernsehen oder in erdachten Büchern. Die Realität ist viel einfacher und vor allem sehr routiniert.

Wertschöpfungskette der Schattenwirtschaft

Die Schattenwelt ist voller Dienstleister die ihre jeweilige Expertise anbieten. Damit ergibt sich ein getreues Abbild der legalen Wirtschaft. Die Möglichkeiten für Geschäfte ergeben sich aus den Kooperationen. Betrugskampagnen erheben über E-Mail-Aussendungen Daten von Opfern. Diese Daten werden zu Datenbanken zusammengefasst. Diese gehen an Raffinerien welche die Rohdaten durch Überprüfung und Klassifizierung veredeln. Man muss übrigens nicht einmal einen Link in einer E-Mail klicken damit die eigene E-Mail-Adresse dem Konvolut einverleibt wird. E-Mails enthalten häufig »Tracking-Pixel« und es reicht die E-Mail zu öffnen (oder in der Vorschau anzusehen) um das Tracking zu triggern und an den Absender zu melden dass diese E-Mail geöffnet wurde. Allein durch das Ansehen der E-Mail bestätigt man also dass es eine echte und aktive E-Mail-Adresse ist die weiterverkauft werden kann. Damit steigert sich der Wert der einzelnen Datensätze. Die so aufbereitete Ware geht dann an Händler weiter die auf Marktplätzen die Produkte anbieten. Dort findet man neben den Handelstreibenden auch Käufer Notare und Bezahldienstleister (bis hin zu Banken und Geldwäschern) die für eine sichere Abwicklung der Transaktionen sorgen. Eine Krähe hackt der anderen vielleicht kein Auge aus aber man geht doch lieber auf Nummer sicher. Immerhin kennt man sich wahrscheinlich nicht.

Die üblichen Verdächtigen

Oder man kennt sich vielleicht doch. Die üblichen Verdächtigen eben. So wie die 30 bis 80 Leute auf der Beobachtungsliste von Katharina Müller. Sie surft tagaus tagein auf den üblichen Seiten hat die Angebote im Blick genauso die Anbietenden. Nicknames ändern sich immer wieder es kommen auch ständig Leute dazu oder fallen raus. Aber der »harte Kern« ist immer da unter irgendwelchen Namen. Für weite Teile ihres Jobs muss sie nicht einmal den Tor-Browser starten das meiste passiert im ganz normalen Internet. Zwischen den Neuzugängen ist seit letztem Monat ein oder eine »ldra002«. Scheint recht aktiv zu sein. Sie schreibt den Namen auf ihre Liste.

Links

DeepSec Blog
Dann haben die halt meine Daten. Na und?! – Einsteiger:innen-Buch in digitale Selbstverteidigung von Klaudia
Murderboard-Talk von René und Klaudia bei der

Weitere Teile der Serie:

00 – Prequel
01 – Kapitel 01: Spuren
02 – Kapitel 02: Ermittlungen
03 – Kapitel 03: Serienhacker
04 – Kapitel 04: Staatliches Hacken

sharing is caring
DE
EN DE